तीन साल में 120 CPE: CISSP का नवीनीकरण कैसे काम करता है

हर तीन साल के चक्र में 120 CPE चाहिए — और बस इतना ही: प्रमाणित सदस्यों के लिए हर साल 40 का न्यूनतम 2022 से अस्तित्व में नहीं है। फिर भी यह सवाल लगातार लौटता रहता है, बस थोड़े बदले हुए रूपों में: हर साल 40 या तीन साल में 120? गिनती कब शुरू होती है? क्या पॉडकास्ट गिना जाता है? समुदाय के जवाब काफी हद तक एक जैसे हैं, लेकिन उनके साथ-साथ पुराने नियमों की यादें भी चलती रहती हैं, जो अब लागू नहीं होतीं। यह लेख वही दर्ज करता है जो प्रमाणित सदस्य इन नियमों से समझते हैं; विवाद या ऑडिट की स्थिति में ISC2 द्वारा isc2.org पर प्रकाशित CPE Handbook ही संदर्भ दस्तावेज बना रहता है।

कितने CPE चाहिए, और कितनी अवधि में?

चर्चाओं का एक जैसा जवाब: हर तीन साल के चक्र में 120 CPE। यह चक्र एक इकाई की तरह काम करता है, न कि तीन सालाना किस्तों की तरह जिन्हें अलग-अलग पूरा करना हो।

गिनती की इकाई सीधी है और जब भी कोई सदस्य भटकता है तब दोहराई जाती है: एक घंटे की गतिविधि एक क्रेडिट के बराबर है। 2025 का एक थ्रेड इस बिंदु पर साफ है, जब एक सदस्य ने ग्यारह घंटे के प्रशिक्षण के लिए 30 से 40 CPE की घोषणा की थी:

“1 hour = 1 CPE so not entirely sure where the 30-40 comes from”

अनुवाद: “1 घंटा = 1 CPE, इसलिए मुझे ठीक-ठीक समझ नहीं आ रहा कि 30 से 40 कहाँ से आए।”

मूल संदेश के लेखक ने माना कि उसका अनुमान एक संवादी सहायक से आया था, और उसने अपनी घोषणा सुधार ली। यह एक उपयोगी याददिहानी है: जो आँकड़े प्रचलन में रहते हैं, उन्हें वास्तव में लगे समय के हिसाब से ही आँकना चाहिए।

संख्या डरावनी लगती है, पर चर्चाएँ इसे बाधा की तरह पेश नहीं करतीं: कई सदस्य बिना किसी खास मेहनत के 250, 400, 467 और यहाँ तक कि 490 क्रेडिट के आँकड़े दिखाते हैं, और उनमें से एक कारगर तरीके को एक ही वाक्य में समेट देता है:

“I tend to watch a one-hour webinar on my spare monitor most Fridays, as I finish up my workweek on the primary monitor.”

अनुवाद: “ज्यादातर शुक्रवार को मैं अपने दूसरे मॉनिटर पर एक घंटे का वेबिनार देख लेता हूँ, जबकि मुख्य मॉनिटर पर हफ्ते का काम निपटा रहा होता हूँ।”

हिंदी पाठक के लिए एक बात मायने रखती है: चर्चाओं में दर्ज सभी CPE स्रोत अंग्रेजी में हैं। वेबिनार, पॉडकास्ट, सम्मेलन, प्रशिक्षण मंच — तीन साल के संग्रह में हिंदी का कोई स्रोत उद्धृत नहीं है। इसलिए व्यवहार में प्रमाणन बनाए रखने के लिए अंग्रेजी पढ़ने और सुनने में सहजता जरूरी है।

क्या हर साल 40 CPE का न्यूनतम अब भी मौजूद है?

प्रमाणित सदस्यों के लिए नहीं — और यह शायद इन चर्चाओं की सबसे व्यापक गलतफहमी है। एक टिप्पणी handbook का हवाला देकर बहस खत्म कर देती है:

“ISC2 has a suggested annual minimum to help balance maintaining your certification, however, there is no annual requirement unless you hold the associate status.”

अनुवाद: “ISC2 एक सुझाया गया वार्षिक न्यूनतम देता है ताकि प्रमाणन बनाए रखने की मेहनत संतुलित रहे, लेकिन कोई वार्षिक बाध्यता नहीं है, बशर्ते आपके पास associate स्थिति न हो।”

इस नियम का इतिहास एक ऐसा सदस्य सुनाता है जो खुद को तेरह साल से ISC2 और CISSP के परीक्षा-प्रश्नों का लेखक बताता है:

अवधि	बताया गया नियम
2020 से पहले	हर साल 40 CPE अनिवार्य, तीन साल के चक्र में 120
2020	वार्षिक न्यूनतम घटाकर 20 CPE
2022 से	वार्षिक न्यूनतम हटाया गया — केवल प्रति चक्र 120 बचे

“Prior to 2020, you had to do 40 per year, with 120 per 3yr cycle. In 2020 they dropped it to 20/yr and then in 2022, they did away with it all together.”

अनुवाद: “2020 से पहले हर साल 40 करने पड़ते थे, और तीन साल के चक्र में 120। 2020 में उन्होंने इसे घटाकर 20 प्रति वर्ष कर दिया, और फिर 2022 में पूरी तरह हटा दिया।”

वही व्यक्ति इसे तोहफे के बजाय एक जोखिम मानता है, और भविष्यवाणी करता है कि सालाना अंकुश हटने से प्रमाणित सदस्य लापरवाह हो जाएँगे, जब तक कि “पहली खेप” अपना प्रमाणन न गँवा दे। जमीनी स्तर पर यह भ्रम बना हुआ है: मई 2026 में भी एक नया प्रमाणित सदस्य लिख रहा था कि वह जानना चाहता है कि प्रमाणन “हर साल 40 CPE से या तीन साल में 120 से” कैसे बनाए रखा जाए।

समूह A और समूह B में क्या अंतर है?

बँटवारा सीधा है: समूह A में वे गतिविधियाँ आती हैं जो सीधे सूचना सुरक्षा के क्षेत्रों से जुड़ी हैं, और समूह B में अधिक सामान्य पेशेवर विकास। क्रेडिट तेजी से जुटाने पर केंद्रित एक थ्रेड में साझा की गई सामान्य रणनीति:

“Category A: a combination of podcasts, CBTs, and reading white papers / articles. […] Category B: mostly work related stuff like leadership meetings”

अनुवाद: “श्रेणी A: पॉडकास्ट, ऑनलाइन प्रशिक्षण और श्वेतपत्र या लेख पढ़ने का मिश्रण। […] श्रेणी B: ज्यादातर काम से जुड़ी चीजें, जैसे नेतृत्व की बैठकें।”

फिर भी यह वर्गीकरण अंतिम नहीं है। जनवरी 2026 का एक मामला बताता है कि ISC2 ने बिना चेतावनी 20 घंटे को समूह A से समूह B में फिर से वर्गीकृत कर दिया — जिनमें दो घंटे उन वेबिनारों के भी थे जो ISC2 ने खुद उस सदस्य को ईमेल से भेजे थे। एक अन्य सदस्य बताता है कि उसने अपनी गतिविधि का विवरण दोबारा इस तरह लिखकर, कि वह साफ तौर पर सुरक्षा से जुड़ जाए, एक अस्वीकृति पलट दी। इन थ्रेड्स से निकलने वाली सलाह: आपत्ति करें, लेकिन दस्तावेज के साथ।

“If you can show why they should count they will likely accept them.”

अनुवाद: “अगर आप दिखा सकें कि उन्हें क्यों गिना जाना चाहिए, तो वे उन्हें शायद मान लेंगे।”

व्यावहारिक नतीजा: अपनी गतिविधियों का विवरण यह सोचकर लिखें कि कोई व्यक्ति बाद में, बिना किसी संदर्भ के, यह तय करेगा कि घोषित घंटा वाकई सुरक्षा से जुड़ा है या नहीं।

क्रेडिट जोड़ना कब से शुरू किया जा सकता है?

केवल प्रमाणन की तारीख से, यानी endorsement मंजूर होने और वार्षिक शुल्क चुका दिए जाने के बाद।

“You can’t collect CPE until after your certification date which is when it is fully endorsed”

अनुवाद: “आप अपनी प्रमाणन तिथि से पहले CPE नहीं जुटा सकते, और वह तिथि तब आती है जब endorsement पूरी तरह मंजूर हो जाता है।”

यह खतरा असली है। एक उम्मीदवार बताता है कि endorsement की प्रतीक्षा के दौरान हुआ एक RSA सम्मेलन और तीन प्रमाणन उसने “गँवा” दिए: इनमें से कुछ भी घोषित नहीं किया जा सका। दर्ज endorsement अवधियाँ आवेदन जमा करने के बाद तीन से साढ़े छह हफ्ते के बीच रहती हैं — और अनुभव की गहन समीक्षा होने पर उससे भी ज्यादा — यानी यह एक ऐसा अंतराल है जिसमें की गई पढ़ाई गिनी नहीं जाती। चूँकि शुल्क का भुगतान भी इस शुरुआत का हिस्सा है, AMF कैसे काम करता है यह सीधे तय करता है कि गिनती कब शुरू होगी।

जिनके पास ISC2 के कई प्रमाणन हैं, उनके लिए चर्चाएँ अलग-अलग गिनती बताती हैं, पर एक ही CPE को दोनों पर घोषित किया जा सकता है बशर्ते विषय दोनों ज्ञान-ढाँचों को कवर करता हो; ISC2 द्वारा आयोजित कार्यक्रम कथित तौर पर अपने आप दोनों पर लागू हो जाते हैं।

क्या अतिरिक्त CPE अगले चक्र में ले जाए जा सकते हैं?

आंशिक रूप से। समुदाय के मुताबिक आगे केवल चक्र के अंतिम छह महीनों में कमाए गए क्रेडिट ही ले जाए जा सकते हैं, और 40 की एक सीमा का जिक्र आता है — इस पर कोई योजना बनाने से पहले इस आँकड़े की पुष्टि CPE Handbook में कर लेनी चाहिए।

व्यावहारिक निष्कर्ष पर सहमति है: अगर चक्र का अंत नजदीक है, तो 120 पूरे हो जाने के बाद भी अपनी गतिविधियाँ घोषित करना बंद न करें। इस आखिरी दौर में जो कमाया जाता है, वह बेकार नहीं जाता।

ऑडिट कैसे होता है और कौन से प्रमाण स्वीकार होते हैं?

CPE ऑडिट को यादृच्छिक और औपचारिकता के मामले में ढीला बताया जाता है। एक सदस्य बताता है कि कई सालों में पहली बार उसका ऑडिट एक ऑनलाइन कोर्स के आधे क्रेडिट की वजह से हुआ, और इससे वह यह नतीजा निकालता है कि चयन किसी को निशाना बनाकर नहीं किया जाता।

चर्चाओं में बताया गया प्रमाण	बताया गया नतीजा
पॉडकास्ट सुनने वाले ऐप का स्क्रीनशॉट	स्वीकृत
सम्मेलन के दौरान की गई पोस्टों के स्क्रीनशॉट	स्वीकृत, 35 क्रेडिट मान्य
पूर्णता प्रमाणपत्र, रसीदें	स्वीकृत
जो किया गया उसका सादा विवरण	कभी-कभी पर्याप्त

“'proof' doesn’t have to be formal… sometimes (gasp) they’ll take whatever you tell them you did”

अनुवाद: “‘प्रमाण’ का औपचारिक होना जरूरी नहीं… कभी-कभी, हैरानी की बात है, वे बस वही मान लेते हैं जो आप कहते हैं कि आपने किया।”

बताई गई अच्छी आदत हमेशा एक जैसी है: एक स्प्रेडशीट रखें जिसमें तारीख, शीर्षक, घंटों की संख्या और लिंक हो; जहाँ मंच प्रमाणपत्र देता है वहाँ उसे डाउनलोड कर लें; पॉडकास्ट और पढ़ाई के लिए दो-तीन पंक्तियों का सारांश लिख लें। “इससे ज्यादा विस्तार की जरूरत नहीं, बशर्ते आपकी घोषणा का ऑडिट न हो।” इस ऑडिट को endorsement के ऑडिट से नहीं मिलाना चाहिए, जो आवेदन के समय के पेशेवर अनुभव से जुड़ा होता है।

एक चक्र को हाथ से निकल जाने देने में क्या जोखिम है?

निलंबन, और फिर प्रमाणन का नुकसान। और आगे क्या होता है, इस पर चर्चाएँ बिल्कुल साफ हैं: जिन सदस्यों ने अपना CISSP गँवाया और जिन्हें बाद में उसकी फिर जरूरत पड़ी, उन सभी को पूरी परीक्षा दोबारा देनी पड़ी। चार विवरण इसकी पुष्टि करते हैं, जिनमें 2002 का एक प्रमाणित सदस्य है जिसने 2020 में इसे जाने दिया और 2014 का एक प्रमाणित सदस्य जो कोविड के दौर के बाद रफ्तार नहीं बनाए रख सका। परीक्षा दोबारा देने का मतलब है एक और प्रयास का शुल्क चुकाना: घोषित रकमें CISSP परीक्षा की कीमत वाले पन्ने पर दर्ज हैं, और अनुभवी पेशेवर इसमें क्यों असफल होते हैं यह CISSP में असफलता के कारण में देखा जा सकता है।

भरपाई की सबसे आम दो स्थितियाँ — “मैं चक्र के तीसरे साल में हूँ, 0 CPE हैं और दस महीने बाकी हैं” और “मेरे पास 120 में से 1 क्रेडिट है” — का अंत अच्छा होता है: जवाबों में तेज भरपाई के तरीके बताए जाते हैं, मुख्य रूप से एक के बाद एक वेबिनार और सम्मेलन। समुदाय द्वारा दर्ज मुफ़्त स्रोत दरअसल अकेले ही एक पूरा चक्र भर देने के लिए काफी हैं। फिर भी सबसे ज्यादा दोहराई गई सलाह सबसे सरल है: जल्दी शुरू करें, भले ही 120 क्रेडिट आठ महीनों में निपट जाएँ और बाकी चक्र आराम से बीते।